Wat een werk-VPN-gateway kan zien over waar je bent

Het adres dat een website ziet nadat je verbinding hebt gemaakt met een werk-VPN is niet het adres dat de werk-gateway zag toen je verbinding maakte. De gateway aanvaardt een inkomende tunnel vanuit welk netwerk je laptop ook zit, en die bron is voor hem zichtbaar voordat er überhaupt getunneld verkeer bestaat. Dat een browser daarna een bedrijfsuitgang meldt, wist de eerdere waarneming niet uit, want het zijn waarnemingen van verschillende dingen. Begrijpen welke welke is beslecht het grootste deel van de discussie over wat een werkgever wel en niet kan afleiden.

Twee adressen, twee verschillende waarnemingen

Het mechanisme is een socket, geen beleid. Wanneer je client de tunnel opent, stuurt hij pakketten van een lokaal adres naar het openbare adres van de gateway, en de kernel van de gateway registreert de bron van die stroom. Die bron is het netwerkeindpunt dat je provider op dat moment aan de verbinding toewees.

Achter een thuisrouter is de bron het openbare adres van de router na NAT. Op een mobiel netwerk kan het een carrier-grade NAT-adres zijn dat tegelijk met veel andere abonnees wordt gedeeld, waardoor twee onverwante personen lijken te komen van dezelfde plek. Op een bedrijfsgastennetwerk is het de uitgang van dat netwerk. In elk geval leert de gateway een adres, een poort en een tijdstempel, en het adres hoort bij een netwerkbeheerder en niet bij een persoon.

Wat de gateway werkelijk vastlegt

Wat daarna wordt vastgelegd is een andere vraag dan wat technisch zichtbaar is. De gateway kan de verbinding, de authenticatie-identiteit en het toegewezen tunneladres loggen, of bijna niets buiten de sessiestatus. Bewaring, export naar een SIEM en correlatie met een account zijn inrichtingsbeslissingen, en geen daarvan volgt uit het feit dat de bron waarneembaar was.

Behandel zichtbaarheid en bewaring als twee assen. Een dienst kan alles zien en niets bewaren, of weinig zien en alles doorsturen.

De praktische consequentie is dat je niet over de administratie van je werkgever kunt redeneren op basis van de client die je hebt geïnstalleerd. Vraag wat de dienst is ingericht om te verzamelen en hoe lang, en verwacht dat het antwoord een beleidsdocument is en geen technische garantie. Het loont ook de VPN-gateway te scheiden van al het andere op een beheerd apparaat, want endpoint-software heeft eigen mogelijkheden en eigen administratie. Een persoonlijke VPN verandert een route; hij verandert niet wat software die al op de machine draait kan waarnemen.

Wat een IP-database wel en niet kan zeggen

Een IP-geolocatiedatabase neemt dat adres en geeft velden terug: land, regio, stad, postcode, breedte- en lengtegraad, plus een nauwkeurigheidsradius waar de leverancier er een geeft. Die velden zijn schattingen die zijn afgeleid van registratiegegevens, netwerktopologie en gemeten latentie, en ze verslechteren op elk niveau anders. Een antwoord over het land kan solide zijn terwijl het antwoord over de stad een gok is.

De eigen nauwkeurigheidsrichtlijn van MaxMind is expliciet over het onderscheid dat hier telt: een VPN-server lokaliseren is niet zijn gebruikers lokaliseren, en de gegevens kunnen geen huishouden, persoon of straatadres identificeren. Lees de nauwkeurigheidsradius en de betrouwbaarheidsvelden waar het product ze toont, en behandel ontbrekende gegevens als ontbrekend en niet als een standaardwaarde. Een speld op een kaart is een weergavekeuze, geen meting. Registratiegegevens en reverse DNS zijn nog een ander soort bewijs: whois 203.0.113.5 vertelt je welke operator de toewijzing houdt en dig +short -x 203.0.113.5 vertelt je hoe de operator die noemde, en geen van beide is een uitspraak over waar iemand stond.

Administratie die niet uitwisselbaar is

Dit snijdt twee kanten op, en daarom is het een slechte basis voor een categorisch besluit. Een schatting die past bij de goedgekeurde regio bewijst geen aanwezigheid. Een afwijking bewijst op zichzelf geen misleiding.

Een beoordeling van thuiswerk die op één opzoeking leunt, beantwoordt een andere vraag dan de gestelde. Wat die nodig heeft is context: welke locaties de regeling toestaat, wat de persoon heeft gemeld en of ander bewijs daarmee overeenkomt. Dat is een managementproces met technische invoer, geen technisch vonnis.

De andere administratie die een organisatie kan hebben is niet uitwisselbaar met een bronadres. Een tijdzone-instelling is een apparaatvoorkeur die iedereen kan wijzigen; een accountgebeurtenis legt vast dat er een sessie was, niet waar; een locatiemeting van een apparaat door endpoint-software is een andere sensor met andere rechten en andere foutmodi. Aannemen dat elke werkgever ze allemaal verzamelt is net zo onjuist als aannemen dat er geen enkele wordt verzameld. De nuttige discipline is de registratie, de eigenaar en de foutmodus ervan te benoemen voordat je het als bewijs van iets behandelt.

Wat daaruit volgt voor een werkregeling

Voor je eigen regelingen is de vraag wat de organisatie verzamelt en welke werklocaties ze toestaat. Dat zijn twee antwoorden uit twee verschillende delen van het bedrijf.

Een weergave van het bron-IP kan toestemming om vanaf een plek te werken niet beslechten, en een route wijzigen is geen vervanging voor het afspreken van de regeling. Als het beleid onduidelijk is, is de productieve stap vragen in plaats van het netwerkpad te optimaliseren. Technische omwegen leveren meestal precies de administratie op die op verhulling lijkt.

De verdedigbare technische uitspraak is smal, en het loont die smal te houden: de gateway neemt de netwerkoorsprong van de inkomende verbinding waar, een geolocatiedatabase kan voor die oorsprong een locatie schatten, en elke bewering over iemands fysieke positie vereist bewijs buiten beide. De nauwkeurigheidsrichtlijn van MaxMind is de referentie voor wat die schattingen ondersteunen. Alles daarna is een beleidsvraag in technisch kostuum.